Бюллетень безопасности SAP за октябрь 2026 года охватывает 22 уязвимости в корпоративных приложениях, интеграционных платформах и библиотеках для разработчиков. Четыре проблемы получили уровень Critical по классификации вендора. Это SSRF (подделка запросов на стороне сервера) в облачном SDK для Python, обход контроля доступа в NetWeaver Visual Composer, внедрение кода в S/4HANA, а также отсутствие проверки полномочий в службе Configuration Service платформы Manufacturing Integration and Intelligence. Следов реальной эксплуатации в бюллетене нет, публичных эксплойтов тоже.
Октябрьский бюллетень безопасности SAP
13 октября вышли 16 новых заметок безопасности и четыре уведомления для проектов на GitHub. Ещё две заметки, опубликованные раньше, обновили. Всего бюллетень охватывает 22 CVE. Разброс продуктов широкий: облачные библиотеки, платформа S/4HANA, промышленная интеграция, корпоративный портал и инструменты разработчика. Большая часть проблем относится к среднему и низкому уровням опасности. Четыре заслуживают отдельного разбора.
SSRF в SAP Cloud SDK для Python
CVE-2026-89111 получила максимальные 10.0 по шкале CVSS. Проблема затрагивает SAP Cloud SDK для Python версий до 0.45.2. Ошибка в обработке OAuth2 разрешает библиотеке обратиться по произвольному адресу от имени сервера. Учётные данные злоумышленнику не нужны, достаточно сетевого доступа. Участие пользователя тоже не требуется. Последствия выходят за пределы самого компонента: под угрозой конфиденциальность, целостность и доступность данных. Библиотеку применяют для связи приложений с облачными сервисами SAP, поэтому через неё можно дотянуться до внутренних ресурсов корпоративной сети. Исправление доступно в ветке 0.45.2 и выше.
Внедрение кода и SQL-инъекции в бизнес-приложениях
Две уязвимости позволяют выполнить собственный код на стороне приложения. Первая, CVE-2026-89107 с оценкой 9.9, кроется в функции управления правилами подстановки и проверки в S/4HANA. Затронуты версии S4CORE с 105 по 109. Вторая, CVE-2026-89113 с оценкой 8.8, относится к внедрению SQL-кода (SQL-инъекция) в готовом коде Commerce Cloud 2211 на Java 21. Обе проблемы эксплуатируются по сети. В обоих случаях хватает учётной записи с низкими правами, а вот анонимный доступ не подойдёт. Успешная атака бьёт по конфиденциальности, целостности и доступности бизнес-данных.
Слабые проверки доступа в NetWeaver, MII и ABAP Platform
Ошибка контроля доступа в NetWeaver Visual Composer (CVE-2026-89110) получила 9.9. Уязвима версия 7.50. Злоумышленнику хватает низких привилегий, действия пользователя не нужны. Служба Configuration Service в Manufacturing Integration and Intelligence (CVE-2026-89108, 9.1) не проверяет полномочия при обращении. Здесь атакующему требуются высокие права, что сужает круг потенциальных целей. Третья проблема, CVE-2026-89120 с рейтингом 7.1, связана с отсутствием проверки авторизации в ABAP Platform на ядрах 7.93 и 9.16. Она угрожает прежде всего целостности данных.
Переполнение буфера в Internet Communication Manager
CVE-2026-58249 с оценкой 7.5 относится к повреждению памяти в Internet Communication Manager, компоненте обработки сетевых запросов. Проблема затрагивает NetWeaver и Web Dispatcher на десятках версий ядра и связанных компонентов. Аутентификация не нужна. Атака по сети может надолго вывести систему из строя, поскольку страдает только доступность. Конфиденциальность и целостность не затронуты.
Средние и низкие уязвимости
Остальная часть бюллетеня - это межсайтовый скриптинг, раскрытие информации, открытые перенаправления, слабая авторизация и внедрение команд. Заметный пример среди них - CVE-2026-76972 в Manufacturing Integration and Intelligence с оценкой 6.5. Ещё одна, CVE-2026-89112, раскрывает персональные данные подписантов в открытой библиотеке CLA-Assistant. Расширение Yeoman-UI для Visual Studio Code содержит внедрение команд операционной системы (CVE-2026-89116, 5.9). Самый низкий балл, 3.5, у слабой проверки авторизации в Cloud Connector. Обновлений потребовали и две старые заметки: SSRF в NetWeaver Application Server for ABAP (CVE-2026-24316) и межсайтовый скриптинг в ABAP Platform (CVE-2025-42938).
Что делать администраторам
Перечень исправлений опубликован в портале поддержки SAP. Библиотеку SAP Cloud SDK для Python нужно поднять минимум до 0.45.2. По остальным продуктам сверяйтесь с требованиями отдельных заметок, а не только с общим списком версий. Доступность пакета зависит от статуса поддержки продукта и права на пакеты обновлений. Вендор просит ставить исправления в приоритетном порядке.
Библиотеки для разработчиков и инструменты сборки всё чаще попадают в корпоративный периметр. Октябрьский бюллетень SAP это подтверждает: четыре из 22 уязвимостей нашлись в пакетах для разработчиков, включая облачный SDK, расширение для редактора кода и библиотеку проверки лицензионных соглашений. При этом ни одной атаки с их использованием не зафиксировали, а высокие баллы CVSS отражают оценку технического риска, а не факт эксплуатации.
Ссылки
